Vulnerabilidad en Apache ActiveMQ (CVE-2023-46604)
Severidad:
CRÍTICA
Type:
CWE-502
Deserialización de datos no confiables
Fecha de publicación:
27/10/2023
Última modificación:
27/06/2024
Descripción
Apache ActiveMQ es vulnerable a la ejecución remota de código. La vulnerabilidad puede permitir que un atacante remoto con acceso a la red de un corredor ejecute comandos de shell arbitrarios manipulando tipos de clases serializadas en el protocolo OpenWire para hacer que el corredor cree una instancia de cualquier clase en el classpath. Se recomienda a los usuarios actualizar a la versión 5.15.16, 5.16.7, 5.17.6 o 5.18.3, que soluciona este problema.
Impacto
Puntuación base 3.x
9.80
Severidad 3.x
CRÍTICA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* | 5.15.16 (excluyendo) | |
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* | 5.16.0 (incluyendo) | 5.16.7 (excluyendo) |
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* | 5.17.0 (incluyendo) | 5.17.6 (excluyendo) |
cpe:2.3:a:apache:activemq:*:*:*:*:*:*:*:* | 5.18.0 (incluyendo) | 5.18.3 (excluyendo) |
cpe:2.3:a:apache:activemq_legacy_openwire_module:*:*:*:*:*:*:*:* | 5.15.16 (excluyendo) | |
cpe:2.3:a:apache:activemq_legacy_openwire_module:*:*:*:*:*:*:*:* | 5.16.0 (incluyendo) | 5.16.7 (excluyendo) |
cpe:2.3:a:apache:activemq_legacy_openwire_module:*:*:*:*:*:*:*:* | 5.17.0 (incluyendo) | 5.17.6 (excluyendo) |
cpe:2.3:a:apache:activemq_legacy_openwire_module:*:*:*:*:*:*:*:* | 5.18.0 (incluyendo) | 5.18.3 (excluyendo) |
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
cpe:2.3:a:netapp:e-series_santricity_unified_manager:-:*:*:*:*:*:*:* | ||
cpe:2.3:a:netapp:e-series_santricity_web_services_proxy:-:*:*:*:*:*:*:* | ||
cpe:2.3:a:netapp:santricity_storage_plugin:-:*:*:*:*:vcenter:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://seclists.org/fulldisclosure/2024/Apr/18
- https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt
- https://lists.debian.org/debian-lts-announce/2023/11/msg00013.html
- https://packetstormsecurity.com/files/175676/Apache-ActiveMQ-Unauthenticated-Remote-Code-Execution.html
- https://security.netapp.com/advisory/ntap-20231110-0010/
- https://www.openwall.com/lists/oss-security/2023/10/27/5